Qué problema resuelve

Las contraseñas se filtran. Da igual lo buenas que sean: aparecen en brechas de otros servicios, se reutilizan y se consiguen con un correo de phishing bien hecho. Con MFA, aunque alguien tenga la contraseña, necesita además algo que solo tiene el usuario (normalmente su móvil) para entrar.

En la práctica, el grueso de los accesos no autorizados que vemos en tenants de pymes son cuentas sin MFA. Con MFA activo, el atacante se queda en la puerta.

Las tres formas de activarlo

Microsoft 365 ofrece varias vías, de menos a más control:

1. Valores predeterminados de seguridad (Security Defaults). Un interruptor. Obliga a MFA a todo el mundo y bloquea la autenticación heredada. Gratis, incluido en cualquier plan. Ideal si no tienes licencias Entra ID P1.
2. Acceso condicional (Conditional Access). Reglas del tipo "exige MFA salvo desde la oficina" o "bloquea países desde los que nunca trabajamos". Requiere Entra ID P1, que viene incluido en Microsoft 365 Business Premium y en E3/E5.
3. MFA por usuario (heredado). Existe todavía, pero Microsoft lo está retirando. No empieces por aquí.

Para la mayoría de pymes la respuesta es sencilla: si tienes Business Premium, acceso condicional; si no, Security Defaults.

Cómo desplegarlo sin bloquear a nadie

El miedo habitual es "mañana nadie podrá entrar". Se evita con un poco de orden:

• Avisa con una semana y explica qué va a pasar: al entrar pedirá configurar la app Microsoft Authenticator.
• Prepara las cuentas de administrador primero. Son las que más importan y las que más se atacan.
• Cuentas compartidas y buzones de servicio: identifícalas antes. Lo normal es convertirlas en buzones compartidos sin inicio de sesión, no ponerles MFA.
• Impresoras, escáneres y aplicaciones antiguas que envían correo por SMTP: no soportan MFA. Necesitan un conector o una contraseña de aplicación, y conviene revisarlas una a una.
• Deja una cuenta de emergencia (break-glass) excluida de las reglas, con contraseña larga guardada fuera del tenant.

Métodos: cuál recomendar

Passkeys: el siguiente paso

Microsoft está empujando con claridad hacia un mundo sin contraseñas, y en Microsoft 365 ya se puede trabajar así hoy. Una passkey (o llave de acceso) es una credencial FIDO2 que vive en el móvil, en el ordenador o en una llave física, y que se desbloquea con la huella, la cara o el PIN del dispositivo. No hay contraseña que robar ni código que teclear: el usuario aprueba el inicio de sesión en su dispositivo y ya está.

Lo relevante para una pyme:

• Resiste el phishing. La passkey solo funciona en el sitio para el que se creó. Aunque el usuario caiga en una web falsa de Microsoft, no puede usarse allí. Eso no lo garantiza ni la app Authenticator con notificación.
• Ya está incluido. Entra ID admite passkeys en Microsoft Authenticator (iOS y Android) y llaves de seguridad FIDO2 sin licencias adicionales; se activa desde los métodos de autenticación del tenant.
• Es más cómodo que MFA. Un solo gesto en el móvil sustituye a contraseña + código. En la práctica los usuarios lo agradecen más que lo temen.
• Empieza por administradores y perfiles sensibles, con acceso condicional exigiendo "fortaleza de autenticación resistente a phishing" para ellos. Luego se extiende al resto.

MFA sigue siendo el primer paso obligatorio; las passkeys son la meta a la que conviene ir llegando durante el próximo año.

Después de activarlo

MFA no es el final. Los siguientes pasos naturales son bloquear la autenticación heredada (si no lo ha hecho ya Security Defaults), revisar quién tiene rol de administrador global y activar alertas de inicio de sesión de riesgo. Pero eso ya es otro artículo.

Si quieres que revisemos cómo está tu tenant antes de tocar nada, la auditoría gratuita incluye exactamente esta comprobación.

Qué es un buzón compartido

Un buzón compartido es un buzón de Exchange Online sin usuario asociado. Nadie inicia sesión en él: los miembros del equipo lo ven dentro de su propio Outlook y pueden leer y enviar como esa dirección. No necesita licencia mientras tenga menos de 50 GB y no use archivado ni retención por litigio.

Cuándo encaja

• Direcciones genéricas que gestionan varias personas (info@, pedidos@).
• Buzones de antiguos empleados que hay que conservar un tiempo sin pagar licencia.
• Calendarios de recursos: salas, vehículos, equipos prestables.

Cuándo no encaja

• Si alguien necesita iniciar sesión directamente en ese buzón (móvil, Teams, aplicaciones).
• Si va a superar los 50 GB o necesita archivo en línea: entonces hay que asignarle una licencia Exchange Online Plan 2 o similar.
• Si se usa para enviar desde un dispositivo (escáner, ERP) por SMTP autenticado: no puede autenticarse porque no tiene contraseña.

Convertir un buzón de usuario en compartido

Es un cambio reversible y sin pérdida de datos:

1. En el Centro de administración de Exchange, abre el buzón del usuario y elige Convertir en buzón compartido.
2. Espera a que termine la conversión (unos minutos).
3. Da permisos de Acceso total y Enviar como a las personas que deban usarlo.
4. Quita la licencia al usuario original. Si tiene datos en OneDrive, guárdalos antes: el OneDrive no se conserva con el buzón.
5. Bloquea el inicio de sesión de la cuenta. Un buzón compartido con contraseña activa es un vector de ataque sin MFA.

Un detalle que casi nadie revisa

Los buzones compartidos conservan la cuenta en Entra ID. Si no bloqueas el inicio de sesión y no tienen MFA, cualquiera que consiga la contraseña puede entrar. Es uno de los puntos que revisamos siempre en una auditoría de seguridad.